[發明專利]一種基于云平臺的統一安全防御系統

有效

• 申請號: 201710141797.0
• 申請日: 2017-03-10
• 公開（公告）號: CN107070889B
• 公開（公告）日: 2020-04-07
• 發明（設計）人: 丁旭陽;柳影;陳萬濤;張志偉;朱晨
• 申請（專利權）人: 中國電建集團成都勘測設計研究院有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 成都虹橋專利事務所(普通合伙) 51124
• 代理人: 吳中偉

1.一種基于云平臺的統一安全防御系統，其特征在于，包括：

流量分析集群，用于接收網絡流量數據，從中分析異常連接及異常流量，對異常情況進行日志記錄和告警，將無異常的流量轉發給請求接收集群；

請求接收集群，用于提取所需訪問的應用ID并讀取配置文件，根據配置文件完成對客戶端發送的加密數據的解密，以及對編碼數據的解碼，然后綜合應用ID、用戶請求和用戶數據構造一個或多個服務請求發送給安全組件集群；并對安全組件集群返回的響應數據進行相關組合；

安全組件集群，用于判斷用戶請求的服務是否安全，判斷用戶發送的數據是否安全；檢測是否帶有會話信息和用戶身份信息；檢測告警可能存在的跨域請求偽造；基于用戶常用行為模式分析判斷是否存在異常連接信息；對服務返回的信息進行檢測、告警可能存在的安全問題；所述安全組件集群將安全的服務請求轉發給應用服務組件，并接受應用服務組件返回的數據；

應用服務組件集群，以微服務構架軟件的方式存在，為用戶提供應用服務；

所述流量分析集群接收網絡流量數據，從中分析異常連接及異常流量，包括：流量分析集群在接收到網絡流量數據后，首先根據首先根據歷史黑白名單判斷是否為異常流量，并做相關處理；

然后，流量分析集群分析在傳輸層對于不同協議的流量特征，并提取成向量，再和表示正常訪問的特征向量求相似性，當相似性大于某動態閾值時，判斷為正常流量并轉發到請求接收集群，否則，判斷為異常流量，記入安全日志及告警系統，并更新黑名單；

所述流量分析集群分析在傳輸層對于不同協議的流量特征，并提取成向量，包括：

以[源IP，源端口，目的IP，目的端口，協議]表示身份信息，分析一段時間內SYN包數、FIN包數、連接成功數、連接失敗數、零窗口、小窗口次數、半開連接次數，用向量表示這些特征為：

所述求相似性為求兩個向量的歐式距離相似性或者兩個向量的余弦相似性，其中求兩個向量的余弦相似性表示為：

當時；則判斷為異常流量，t的建議取值為0.5；對于的取值，根據初始值和實際網絡情況進行動態變化，具體變化方式為：

與都是歸一化的向量，其中表示當前所有正常連接流量數據的特征的均值向量,∝的建議取值為0.85。

2.如權利要求1所述的一種基于云平臺的統一安全防御系統，其特征在于，所述安全組件集群判斷用戶發送的數據是否安全包括檢測其中可能存在的具有數據庫注入、跨站腳本攻擊數據。

3.如權利要求1所述的一種基于云平臺的統一安全防御系統，其特征在于，所述安全組件集群基于用戶常用行為模式分析判斷是否存在異常連接信息，包括：安全組件集群分析用戶常用行為模式，并將于用戶常用行為模式不符的行為通過數值算法轉換為相關異常累加值，當異常累加值超過一定閾值后，告警可能存在的異常連接信息。

4.如權利要求1所述的一種基于云平臺的統一安全防御系統，其特征在于，所述安全組件集群對服務返回的信息進行檢測、告警可能存在的安全問題，包括：安全組件集群對服務返回的數據進行特征提取，告警其中可能存在的數據庫注入、跨站腳本攻擊、任意文件下載安全問題，可提前進行安全響應和/或發現Oday漏洞。

5.如權利要求1所述的一種基于云平臺的統一安全防御系統，其特征在于，所述流量分析集群在對異常情況進行日志記錄的同時，還在可視化系統中顯示。